Règlement d’exécution (UE) 2022/1504 de la Commission du 6 avril 2022 portant modalités d’application du règlement (UE) no 904/2010 du Conseil en ce qui concerne la création d’un système électronique central concernant les informations sur les paiements (CESOP) pour lutter contre la fraude à la TVA

1 La Commission élabore des mesures techniques pour la mise en place du CESOP avec les fonctionnalités suivantes: a) la réception des données sur les paiements transmises par les États membres; b) le stockage sécurisé des données sur les paiements pendant une période maximale de cinq ans à compter de la fin de l’année civile au cours de laquelle les États membres ont transmis les informations; c) la suppression des anomalies et des erreurs dans les données sur les paiements, notamment les doublons d’un même paiement; d) le regroupement des données sur les paiements relatives à chaque bénéficiaire; e) la recherche et la visualisation des données sur les paiements dans le CESOP; f) l’analyse des données sur les paiements et la possibilité de procéder à des recoupements entre ces dernières et les données stockées et échangées conformément à l’article 17, paragraphe 1, points a), b), d), e) et f), et à l’article 33, paragraphe 2, point b), du règlement (UE) no 904/2010; g) l’analyse automatique et le signalement des bénéficiaires suspects; h) la possibilité, pour les fonctionnaires de liaison Eurofisc, d’effectuer des contrôles et des analyses non automatiques; i) la production de rapports sur les résultats des analyses et contrôles effectués par le CESOP et par les fonctionnaires de liaison Eurofisc; j) la mise à disposition d’une infrastructure de gestion du contrôle des accès des utilisateurs pour les fonctionnaires de liaison Eurofisc; k) la possibilité, pour les fonctionnaires de liaison Eurofisc, d’échanger des informations relatives aux enquêtes sur la fraude transfrontalière à la TVA et à la détection de ce type de fraude directement dans le CESOP; l) la mise à disposition de l’infrastructure technique permettant aux États membres de gérer les droits d’accès de leurs fonctionnaires de liaison Eurofisc.

2 La Commission s’acquitte des tâches suivantes dans le cadre de la maintenance du CESOP: a) garantir le fonctionnement du CESOP et de ses fonctionnalités; b) assurer la maintenance en dehors des heures de travail; c) apporter les mises à jour techniques nécessaires au bon fonctionnement et à l’amélioration du CESOP; d) traiter les problèmes techniques.

La Commission s’acquitte des tâches suivantes dans le cadre de la gestion technique du CESOP: a) conserver et mettre à jour la liste des fonctionnaires de liaison Eurofisc qui ont accès au CESOP et de leur identifiant d’utilisateur personnel unique, conformément à l’article 5; b) mettre en œuvre les mesures de sécurité organisationnelles et techniques visées à l’article 6; c) établir, conserver et tenir à jour, sur la base des données fournies par les États membres, une liste des prestataires de services de paiement qui ont communiqué des données en application de l’article 24 ter, paragraphe 1, du règlement (UE) no 904/2010; d) accorder aux fonctionnaires de liaison Eurofisc qui ont accès au CESOP un accès automatisé à la liste tenue à jour conformément au point c); e) fournir une assistance technique aux fonctionnaires de liaison Eurofisc lorsqu’ils utilisent le CESOP; f) assurer la formation des fonctionnaires de liaison Eurofisc à l’utilisation du CESOP.

1 Les États membres prennent toutes les mesures nécessaires pour que les systèmes électroniques nationaux de collecte des informations sur les paiements mis en place en vertu de l’article 24 ter, paragraphe 2, du règlement (UE) no 904/2010 soient fonctionnels et en mesure de collecter les informations sur les paiements conformément à l’article 24 ter, paragraphe 1, dudit règlement.

2 Les États membres transmettent au CESOP uniquement les informations sur les paiements qui sont complètes, pour lesquelles tous les champs obligatoires au titre de l’article 243 quinquies de la directive 2006/112/CE ont été renseignés, et qui sont conformes aux exigences énoncées à l’annexe du présent règlement.

3 La Commission garantit l’interopérabilité entre le CESOP et les systèmes électroniques nationaux visés au paragraphe 1.

Le formulaire électronique type visé à l’article 24 ter, paragraphe 1, point b), du règlement (UE) no 904/2010, est transmis dans un format XML normalisé conforme au tableau de données figurant à l’annexe du présent règlement.

1 Les États membres désignent les fonctionnaires de liaison Eurofisc qui auront accès au CESOP et communiquent leurs noms et adresses électroniques à la Commission.

2 Les États membres informent la Commission de toute modification apportée aux informations fournies en application du paragraphe 1, y compris les modifications concernant les fonctionnaires de liaison Eurofisc désignés, rapidement et au plus tard trente jours civils après la modification.

3 La Commission fournit immédiatement aux fonctionnaires de liaison Eurofisc visés au paragraphe 1 un identifiant d’utilisateur personnel unique leur permettant d’accéder au CESOP.

1 Les États membres communiquent à la Commission des informations sur l’application de leurs propres mesures de sécurité au niveau national ainsi que sur chaque mise à jour de celles-ci. Ces informations comprennent des précisions sur les mesures adoptées pour garantir que seuls les fonctionnaires de liaison Eurofisc visés à l’article 5 ont accès au CESOP, ainsi que sur les mesures adoptées pour assurer le cryptage des données transmises par les États membres.

2 La Commission informe les États membres, au plus tard le 30 avril de chaque année à compter de l’année suivant la date d’application du présent règlement, des mesures prises pour assurer la sécurité du CESOP. Elle leur communique au moins les éléments suivants: a) les incidents de sécurité survenus au cours de l’année précédente et la manière dont ils ont été résolus; b) des informations détaillées sur les mesures de sécurité adoptées ou sur les modifications apportées aux mesures de sécurité existantes; c) une évaluation des mesures de sécurité existantes, précisant si la Commission juge nécessaire de modifier ces dernières.

1 Les États membres sont conjointement responsables du traitement, au sens de l’article 4, point 7), du règlement (UE) 2016/679, du CESOP. Les responsabilités des responsables du traitement du CESOP sont définies dans un accord entre ces derniers, qui fixe leurs obligations en ce qui concerne les informations à fournir visées aux articles 13 et 14 du règlement (UE) 2016/679 et les modalités de l’exercice des droits de la personne concernée. Les États membres s’acquittent des tâches suivantes: a) établir les spécifications techniques du CESOP et, le cas échéant, les adapter, afin que la Commission puisse: a) assurer la mise en place et la maintenance du CESOP conformément à l’article 1er du présent règlement, b) assurer la gestion technique du CESOP conformément à l’article 2 du présent règlement, c) garantir l’interopérabilité des systèmes électroniques nationaux visés à l’article 24 ter du règlement (UE) no 904/2010 et du CESOP conformément à l’article 3, paragraphe 3, du présent règlement, d) prendre les mesures de sécurité visées à l’article 6, paragraphe 2, premier alinéa, du présent règlement; b) établir les règles et procédures pour la sélection des fonctionnaires de liaison Eurofisc qui auront accès au CESOP; c) répondre aux demandes des personnes concernées concernant l’exercice des droits prévus au chapitre III du règlement (UE) 2016/679.

2 La Commission est un sous-traitant, au sens de l’article 3, point 12), du règlement (UE) 2018/1725, du CESOP. La Commission: a) traite les données à caractère personnel pour le compte des États membres conformément à leurs instructions et conserve la documentation relative à ces instructions; b) garantit la confidentialité des données à caractère personnel lors de leur traitement au titre du présent règlement; c) fournit l’infrastructure technique nécessaire pour permettre aux États membres de répondre aux demandes visées au paragraphe 1, point c); d) aide les États membres à se conformer aux obligations prévues aux articles 33 à 41 du règlement (UE) 2016/679; e) veille à la suppression de toutes les données à caractère personnel stockées dans le CESOP conformément à l’article 24 quater, paragraphe 2, du règlement (UE) no 904/2010; f) met à la disposition des États membres toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d’audits, y compris des inspections, par les États membres ou un autre auditeur qu’ils ont mandaté, et contribuer à ces audits, dans le plein respect du protocole (no 7) du traité sur le fonctionnement de l’Union européenne sur les privilèges et immunités de l’Union européenne.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à partir du 1er janvier 2024.